资深安全工程师(J10453)

1.结合业务流程与系统架构梳理攻击面，制定测试方案，开展 Web、API、身份认证、权限控制及复杂业务逻辑安全测试。

2.结合手工测试、安全工具和代码审计发现漏洞，分析漏洞根因、利用条件与实际影响，交付清晰、准确、可复现的技术证据和测试报告。

3.与研发讨论漏洞根因和修复方案，跟进整改，完成修复复测、绕过验证及同类问题排查，推动漏洞闭环。

4.编写或改进测试脚本、工具及插件，沉淀可复用的测试用例与方法，提升测试覆盖范围、准确性和执行效率。

5.使用 AI 辅助代码分析、测试用例生成、脚本开发及漏洞分析，独立核验输出结果，遵守公司代码和业务数据的使用要求。

6.根据业务需要开展 AI 应用安全测试，验证提示词注入、敏感信息泄露、知识库越权及 Agent 工具调用权限等风险，并验证防护效果。

7.参与重大漏洞排查、授权攻防演练及安全事件技术分析，完成漏洞验证、攻击路径分析和根因定位等工作。

8.结合测试实践改进技术方案与质量标准，通过技术讨论、案例分享和方法沉淀提升团队测试能力。

1.4 年及以上渗透测试、应用安全或相关工作经验，持续参与一线技术实践，能够独立完成项目安全测试、漏洞分析及修复验证；技术能力突出者可适当放宽年限要求。

2.熟悉 Web、API 及业务安全，理解常见漏洞的原理、利用条件和修复方法，能够独立开展认证、越权及业务逻辑测试。

3.熟练使用 Burp Suite、Nmap 等安全工具，理解其适用范围，能够结合手工测试排除误报，针对具体问题设计验证方法。

4.掌握 Python、Java、Go 等至少一门编程语言，能够阅读业务代码、编写和调试测试脚本，结合调用链或数据流辅助漏洞定位与验证。

5.熟悉 HTTP 等常见网络协议，了解 Linux、Windows 及常见应用架构的安全机制，能够结合请求、响应、日志和部署环境分析问题。

6.能够使用 AI 辅助安全分析、脚本编写和测试用例生成，具备独立判断与核验结果的能力，理解代码及业务数据的使用边界。

7.持续亲自参与安全测试或代码审计，能够清楚说明本人完成的漏洞发现过程、关键判断、验证证据及修复复测结果。

8.具备清晰的技术表达、协作意识和持续学习能力，能够与研发讨论技术细节并跟进问题解决；具备良好的职业操守，在授权范围内开展测试。